为什么认证只是您云安全计划的一部分

史蒂文·穆雷

2017年7月5日

电子邮件

1 min read

为什么认证只是您云安全计划的一部分

关键要点

    • Attestations alone don’t guarantee security. 它们确认满足某些标准，但不保证控制措施正常运行或受到适当监控。

    • Operational readiness matters more than certification. 公司可以通过审核，但其安全工具（如IDS/IPS系统）可能无法正常工作。

    • Auditors often verify existence, not performance. 许多认证评估系统是否存在，而不是它们是否配置正确或积极维护。

    • A strong cloud security program blends compliance with continuous monitoring. 认证提供合规基线，但持续的测试和评估确保真正的保护。

    • Third-party penetration tests reveal real vulnerabilities. 它们提供比调查或检查清单更深入的见解，验证安全措施在真实条件下的有效性。

    • Vendor evaluations should consider data access and risk exposure. 处理敏感信息的合作伙伴应接受更严格的审查和定期审查。

    • Effective security requires transparency. 成熟的组织愿意分享政策、事件响应框架和漏洞管理程序。

Q&A 精华

  • 为什么 attestations 不是衡量安全成熟度的可靠标准？

    因为它们只证明了所需的控制措施存在，而不是它们的有效性。真正的安全成熟度涉及持续的验证、监控和对威胁的响应。

  • 在仅依赖合规检查方面，常见的失败是什么？

    组织可能会部署工具只是为了“走过场”。例如，可能安装了IDS，但实际上并未配置以检测或提醒威胁。

  • 在评估供应商时，除了保证书之外，您还应该审查什么？

    始终检查完整的调查报告（不仅仅是摘要），询问年度渗透测试，并请求访问核心安全文档。

  • 第三方测试如何改进安全计划？

    渗透测试模拟现实世界的攻击，揭示合规审计忽略的弱点，确保防御按预期运作。

  • 云安全计划成熟的定义是什么？

    一种平衡的方法，结合证明、持续监控、数据保护策略、事件响应准备和主动漏洞管理。

  • 如何评估供应商的安全态势？

    根据他们访问的数据敏感性进行评估——处理客户数据的供应商应符合更高的安全标准并定期接受审查。

人们经常问我，一个好的安全计划是什么。我多么想指出我的安全外围中的一个方面来用作例子，但有多个项目需要突出。

Attestations 并不总是衡量您的防御姿态

根据定义，认证是表明某事显而易见的指示。在安全的情况下，特别是安全程序，这意味着以官方身份进行认证。

人们经常问我，是什么成就了一个好的安全程序。尽管我希望能指出安全防护中的某一方面来作为例子，但有多个项目需要强调。行业依靠认证和证书来衡量你的安全防御。工程师和操作人员会告诉你，实际的安全防御范围和威胁评估能力定义了你的安全程序。我会告诉你，符合标准按测量，以及你的安全团队的操作能力都定义了你的程序。虽然仅仅靠认证并不是准确衡量程序的基准。

认证是行业必须确保遵守联邦、地方和州法规以及行业最佳实践所需的。ISO、NIST或DoD标准构成了大多数认证的基线。例如，NIST发布了一系列标准和技术指南，以帮助组织建立“被政府接受”的防御体系。不过，正如我将概述的那样，尽管设定了标准，但实施并不总是出色的。

根据定义，认证是表明某事显而易见的指示。在安全的情况下，特别是安全程序，这意味着以官方身份进行认证。

人们经常问我，是什么成就了一个好的安全程序。尽管我希望能指出安全防护中的某一方面来作为例子，但有多个项目需要强调。行业依靠认证和证书来衡量你的安全防御。工程师和操作人员会告诉你，实际的安全防御范围和威胁评估能力定义了你的安全程序。我会告诉你，符合标准按测量，以及你的安全团队的操作能力都定义了你的程序。虽然仅仅靠认证并不是准确衡量程序的基准。

认证是行业必须确保遵守联邦、地方和州法规以及行业最佳实践所需的。ISO、NIST或DoD标准构成了大多数认证的基线。例如，NIST发布了一系列标准和技术指南，以帮助组织建立“被政府接受”的防御体系。不过，正如我将概述的那样，尽管设定了标准，但实施并不总是出色的。

根据定义，认证是表明某事显而易见的指示。在安全的情况下，特别是安全程序，这意味着以官方身份进行认证。

人们经常问我，是什么成就了一个好的安全程序。尽管我希望能指出安全防护中的某一方面来作为例子，但有多个项目需要强调。行业依靠认证和证书来衡量你的安全防御。工程师和操作人员会告诉你，实际的安全防御范围和威胁评估能力定义了你的安全程序。我会告诉你，符合标准按测量，以及你的安全团队的操作能力都定义了你的程序。虽然仅仅靠认证并不是准确衡量程序的基准。

认证是行业必须确保遵守联邦、地方和州法规以及行业最佳实践所需的。ISO、NIST或DoD标准构成了大多数认证的基线。例如，NIST发布了一系列标准和技术指南，以帮助组织建立“被政府接受”的防御体系。不过，正如我将概述的那样，尽管设定了标准，但实施并不总是出色的。

部署一个工具不意味着它正在提供价值

控制措施允许在实施和运营增长及创新方面具有灵活性。不幸的是，一些组织利用这种灵活性来应付差事，但实际上并没有真正的防御措施。

一个这样的典型问题例子是入侵检测/防御系统（IDS 或 IPS）。像病毒扫描器一样，大多数组织出于标准安全实践的考虑，投资于 IDS/IPS 以防范恶意流量和数据泄露。行业中充斥着各种形式 IDS/IPS 系统的供应商。然而，一些组织选择构建系统而不是购买。

我最近离开了一个这样的组织，他们从开源工具中“构建”了自己的入侵检测系统。审计人员被告知该系统是一个“非常好的工具”，甚至还提供了流量的例子。但当我更深入地研究该工具提供的遥测数据时，我意识到流量根本没有被分析。实际上，它是通过传感器传递的，因为没有配置为捕获任何流量或发出警报。此外，用于管理该工具的凭证是由一名已离职员工设置的，并且在他离开后从未更新过。因此，实际上，这个工具已经闲置数月，未有任何人工干预。这不仅使公司面临风险，还危及了周边安全。

精明的审计员不会发现这个问题，因为认证书不会查找所有系统的“操作”信息——该标准实际上只是一个问题和答案的层次。事实上，大多数认证仅仅衡量工具是否存在，而不是操作可行性。此外，大多数审计员在技术上不足以分辨功能性 IDS/IPS 和非功能性 IDS/IPS。审计的核心依赖于公司展示其最佳状态，而不是回答棘手的问题。审计人员在审计期间还需要检查广泛的控制措施，因此时间是影响其分析质量的重要因素。

仅凭认证会告诉你公司有成熟的安全程序和控制措施。要求潜在合作伙伴填写供应商调查表也不会让你有信心。调查仅用不同的格式概述相同的信息。那么，你如何评估成熟的安全程序？

控制措施允许在实施和运营增长及创新方面具有灵活性。不幸的是，一些组织利用这种灵活性来应付差事，但实际上并没有真正的防御措施。

一个这样的典型问题例子是入侵检测/防御系统（IDS 或 IPS）。像病毒扫描器一样，大多数组织出于标准安全实践的考虑，投资于 IDS/IPS 以防范恶意流量和数据泄露。行业中充斥着各种形式 IDS/IPS 系统的供应商。然而，一些组织选择构建系统而不是购买。

我最近离开了一个这样的组织，他们从开源工具中“构建”了自己的入侵检测系统。审计人员被告知该系统是一个“非常好的工具”，甚至还提供了流量的例子。但当我更深入地研究该工具提供的遥测数据时，我意识到流量根本没有被分析。实际上，它是通过传感器传递的，因为没有配置为捕获任何流量或发出警报。此外，用于管理该工具的凭证是由一名已离职员工设置的，并且在他离开后从未更新过。因此，实际上，这个工具已经闲置数月，未有任何人工干预。这不仅使公司面临风险，还危及了周边安全。

精明的审计员不会发现这个问题，因为认证书不会查找所有系统的“操作”信息——该标准实际上只是一个问题和答案的层次。事实上，大多数认证仅仅衡量工具是否存在，而不是操作可行性。此外，大多数审计员在技术上不足以分辨功能性 IDS/IPS 和非功能性 IDS/IPS。审计的核心依赖于公司展示其最佳状态，而不是回答棘手的问题。审计人员在审计期间还需要检查广泛的控制措施，因此时间是影响其分析质量的重要因素。

仅凭认证会告诉你公司有成熟的安全程序和控制措施。要求潜在合作伙伴填写供应商调查表也不会让你有信心。调查仅用不同的格式概述相同的信息。那么，你如何评估成熟的安全程序？

控制措施允许在实施和运营增长及创新方面具有灵活性。不幸的是，一些组织利用这种灵活性来应付差事，但实际上并没有真正的防御措施。

一个这样的典型问题例子是入侵检测/防御系统（IDS 或 IPS）。像病毒扫描器一样，大多数组织出于标准安全实践的考虑，投资于 IDS/IPS 以防范恶意流量和数据泄露。行业中充斥着各种形式 IDS/IPS 系统的供应商。然而，一些组织选择构建系统而不是购买。

我最近离开了一个这样的组织，他们从开源工具中“构建”了自己的入侵检测系统。审计人员被告知该系统是一个“非常好的工具”，甚至还提供了流量的例子。但当我更深入地研究该工具提供的遥测数据时，我意识到流量根本没有被分析。实际上，它是通过传感器传递的，因为没有配置为捕获任何流量或发出警报。此外，用于管理该工具的凭证是由一名已离职员工设置的，并且在他离开后从未更新过。因此，实际上，这个工具已经闲置数月，未有任何人工干预。这不仅使公司面临风险，还危及了周边安全。

精明的审计员不会发现这个问题，因为认证书不会查找所有系统的“操作”信息——该标准实际上只是一个问题和答案的层次。事实上，大多数认证仅仅衡量工具是否存在，而不是操作可行性。此外，大多数审计员在技术上不足以分辨功能性 IDS/IPS 和非功能性 IDS/IPS。审计的核心依赖于公司展示其最佳状态，而不是回答棘手的问题。审计人员在审计期间还需要检查广泛的控制措施，因此时间是影响其分析质量的重要因素。

仅凭认证会告诉你公司有成熟的安全程序和控制措施。要求潜在合作伙伴填写供应商调查表也不会让你有信心。调查仅用不同的格式概述相同的信息。那么，你如何评估成熟的安全程序？

评估整个Cloud Security Program

首先，你至少应该查看声明和调查报告，而不是执行摘要。这将为您提供由第三方审查的程序概述。此外，全面的安全程序应包含强有力的数据保护策略，例如数据库备份和恢复程序，以确保在安全事件期间的业务连续性和数据完整性。其次，你绝对应该查看公司是否进行第三方渗透测试或漏洞奖励计划。个人而言，我不喜欢漏洞奖励计划，但我喜欢每年进行第三方渗透测试。渗透测试为您提供了防御结构测试和关于漏洞的真实反馈。最后，查看公司用于实施基础的安全文件（通常是目录）。这包括（但肯定不限于）安全政策、事件响应和漏洞管理。经验丰富的安全团队将提供共享这些文档和文物作为正常业务的一部分。

我总是从公司数据访问的角度评估每个供应商和合作伙伴。这意味着，如果合作伙伴或供应商管理公司数据，他们受到的审查比不管理公司数据的供应商更多。评估安全程序时，请记住业务目的。我会审查业务目的和涉及的信息类型，然后从该角度评估，而不是一视同仁地处理所有合作伙伴和供应商。当有疑问时，始终要求提供更多信息。

首先，你至少应该查看声明和调查报告，而不是执行摘要。这将为您提供由第三方审查的程序概述。此外，全面的安全程序应包含强有力的数据保护策略，例如数据库备份和恢复程序，以确保在安全事件期间的业务连续性和数据完整性。其次，你绝对应该查看公司是否进行第三方渗透测试或漏洞奖励计划。个人而言，我不喜欢漏洞奖励计划，但我喜欢每年进行第三方渗透测试。渗透测试为您提供了防御结构测试和关于漏洞的真实反馈。最后，查看公司用于实施基础的安全文件（通常是目录）。这包括（但肯定不限于）安全政策、事件响应和漏洞管理。经验丰富的安全团队将提供共享这些文档和文物作为正常业务的一部分。

我总是从公司数据访问的角度评估每个供应商和合作伙伴。这意味着，如果合作伙伴或供应商管理公司数据，他们受到的审查比不管理公司数据的供应商更多。评估安全程序时，请记住业务目的。我会审查业务目的和涉及的信息类型，然后从该角度评估，而不是一视同仁地处理所有合作伙伴和供应商。当有疑问时，始终要求提供更多信息。

首先，你至少应该查看声明和调查报告，而不是执行摘要。这将为您提供由第三方审查的程序概述。此外，全面的安全程序应包含强有力的数据保护策略，例如数据库备份和恢复程序，以确保在安全事件期间的业务连续性和数据完整性。其次，你绝对应该查看公司是否进行第三方渗透测试或漏洞奖励计划。个人而言，我不喜欢漏洞奖励计划，但我喜欢每年进行第三方渗透测试。渗透测试为您提供了防御结构测试和关于漏洞的真实反馈。最后，查看公司用于实施基础的安全文件（通常是目录）。这包括（但肯定不限于）安全政策、事件响应和漏洞管理。经验丰富的安全团队将提供共享这些文档和文物作为正常业务的一部分。

我总是从公司数据访问的角度评估每个供应商和合作伙伴。这意味着，如果合作伙伴或供应商管理公司数据，他们受到的审查比不管理公司数据的供应商更多。评估安全程序时，请记住业务目的。我会审查业务目的和涉及的信息类型，然后从该角度评估，而不是一视同仁地处理所有合作伙伴和供应商。当有疑问时，始终要求提供更多信息。

其他新闻

阅读更多来自此类别的内容

A person is standing at a desk while typing on a laptop.

完整的AI原生平台，可与您的业务一起扩展。

联系销售

免费开始

© 2025 Bird

联系 Support

A person is standing at a desk while typing on a laptop.

完整的AI原生平台，可与您的业务一起扩展。

联系销售

免费开始

© 2025 Bird

联系 Support

A person is standing at a desk while typing on a laptop.

完整的AI原生平台，可与您的业务一起扩展。

联系销售

免费开始

© 2025 Bird

联系 Support